Spring Security SAML一次登录全局单次注销LogoutRequest解析问题

Question

我正在用一个登录名实现Spring Security SAML。我已经设置了所有的配置文件和元数据。

我能够得到登录工作和注销工作，如果我退出我登录的同一个应用程序.在这种情况下，从SAML IDP我得到LogoutResponse和Spring Security是能够解析和处理它。

http://localhost:8080/web/saml/SingleLogout?SAMLResponse=..............

问题是当我在两个应用程序中登录时，当前我登录到一个登录管理控制台，有一个指向我的应用程序的链接，我点击它，我可以直接登录到我的应用程序中，现在当我从一个登录管理控制台注销时，我的应用程序得到LogoutRequest。

http://localhost:8080/web/saml/SingleLogout?SAMLRequest=.........

Spring Security会很好地解析它，并将对象传递给验证检查逻辑。

org.springframework.security.saml.websso.processLogoutRequest(SAMLMessageContext context, SAMLCredential credential)

此方法具有以下检查。

// Make sure request was authenticated if required, authentication is done as part of the binding processing
        if (!context.isInboundSAMLMessageAuthenticated() && context.getLocalExtendedMetadata().isRequireLogoutRequestSigned()) {
            throw new SAMLStatusException(StatusCode.REQUEST_DENIED_URI, "LogoutRequest is required to be signed by the entity policy");
        }

我试图跟踪跟踪，但上下文对象的字段inboundSAMLMessageAuthenticated从未设置为true。上述检查失败并引发异常。

在调试模式下，我将值显式更改为true，它继续进行，但还有一个问题。

同样的方法还有另一种检查。

try {
            // Fail if NameId doesn't correspond to the currently logged user
            NameID nameID = getNameID(context, logoutRequest);
            if (nameID == null || !equalsNameID(credential.getNameID(), nameID)) {
                throw new SAMLStatusException(StatusCode.UNKNOWN_PRINCIPAL_URI, "The requested NameID is invalid");
            }
        } catch (DecryptionException e) {
            throw new SAMLStatusException(StatusCode.RESPONDER_URI, "The NameID can't be decrypted", e);
        }

方法equalNameId如下所示。

private boolean equalsNameID(NameID a, NameID b) {
        boolean equals = !differ(a.getSPProvidedID(), b.getSPProvidedID());
        equals = equals && !differ(a.getValue(), b.getValue());
        equals = equals && !differ(a.getFormat(), b.getFormat());
        equals = equals && !differ(a.getNameQualifier(), b.getNameQualifier());
        equals = equals && !differ(a.getSPNameQualifier(), b.getSPNameQualifier());
        equals = equals && !differ(a.getSPProvidedID(), b.getSPProvidedID());
        return equals;
    }

在这里，它在difference（a.getFormat（），b.getFormat（））上失败

问题

我不确定我是否遗漏了什么，有点迷失了在哪里检查以解决这个问题。

我的单次注销绑定是HTTP重定向。

如果能提供指导，我们将不胜感激。如果需要更多信息，请告诉我。

谢谢你抽出时间。

堆栈（遗留应用程序）：

Spring3.0.6

Spring Security 3.1.2

Spring Security SAML 1.0.0

Tomcat 7。十、

Answer 1

在最初的帖子发布两年后，我遇到了这个问题，我不得不做一些进一步的研究。关于SAML规范，我还有一些阅读工作要做，但我想我在SAML 2.0勘误表中找到了一条关于NameID类型结构的条目，它是NameID和Issuer的基础。此类型中的所有四个元素都是可选的。OneLogin似乎遵循此文档，并且不发送NameID。在SingleLogout请求中设置格式。

因此，inboundMessage的nameID格式为null，而凭证的nameID格式为“urn:oasis:names:tc:SAML:1.1:nameIDhtml" target="_blank">格式：emailAddress”。这就是导致getFormat行返回false并使整个检查失败的原因。